Wir werden nicht alles verhindern können

Die vergangene Woche ist bei mir anders verlaufen als geplant.

Eine kurzfristig notwendige Zahnoperation hat mich für fast drei Tage ziemlich zuverlässig aus dem Verkehr gezogen. Termine mussten verschoben, Aufgaben übernommen und Entscheidungen anders organisiert werden. Für ein kleines Unternehmen ist das durchaus relevant, weil vieles unmittelbar an einzelnen Personen hängt.

Ich hatte dabei einen großen Vorteil: Mit Maria Kral-Glanzer habe ich eine Geschäftspartnerin an meiner Seite, die übernommen hat und dafür gesorgt hat, dass alles weiterläuft. Ich konnte mich tatsächlich zwei Tage zurückziehen, ohne ständig darüber nachdenken zu müssen, was gerade liegen bleibt.

Kaum wieder halbwegs auf den Beinen, folgte die nächste ungeplante Lage. Diesmal in einem völlig anderen Kontext: ein Waldbrandeinsatz mit den Katastrophenhilfe-Sondereinheiten von Österreichisches Rotes Kreuz Niederösterreich zur Unterstützung von Feuerwehr und Einsatzkräften.

Zwei Situationen, die kaum unterschiedlicher sein könnten. Und trotzdem haben sie bei mir denselben Gedanken ausgelöst.

Wir beschäftigen uns sehr intensiv damit, Dinge zu verhindern. Wir schützen Systeme, Gebäude und Infrastrukturen. Wir sichern IT, schaffen Redundanzen, schreiben Notfallpläne und versuchen, Risiken möglichst früh zu erkennen.

Das alles ist notwendig. Aber irgendwann kommt der Punkt, an dem Schutz nicht mehr reicht. Genau darüber wurde in der vergangenen Woche auch auf einer deutlich größeren Ebene diskutiert.

E.ON-Chef Leonhard Birnbaum hat angesichts der zunehmenden Drohnenbedrohung offen ausgesprochen, dass eine vollständige Absicherung der deutschen Energieinfrastruktur kaum realistisch ist. Dafür gibt es schlicht zu viele dezentrale Anlagen, Leitungen, Netzknoten und technische Komponenten. Gleichzeitig entwickelt sich die Technologie schneller weiter, als Schutzmaßnahmen flächendeckend nachgezogen werden können.

Mich beschäftigt weniger die Aussage selbst als die Konsequenz daraus. Denn wenn wir akzeptieren, dass vollständiger Schutz nicht möglich ist, verändert sich die Frage. Dann geht es nicht mehr ausschließlich darum, wie wir einen Ausfall verhindern. Sondern genauso darum, was passiert, wenn er trotzdem eintritt.

Vielleicht überschätzen wir Prävention

Das klingt zunächst widersprüchlich aus dem Mund eines Krisenmanagers.

Natürlich brauchen Organisationen Prävention. Wer bekannte Risiken ignoriert und anschließend von Resilienz spricht, hat etwas Grundsätzliches missverstanden. Trotzdem habe ich den Eindruck, dass wir Sicherheit und Resilienz gelegentlich zu stark miteinander vermischen.

Sicherheit versucht, ein Ereignis zu verhindern oder seine Wahrscheinlichkeit zu reduzieren. Resilienz beginnt dort, wo wir akzeptieren, dass uns das nicht immer gelingen wird. Das ist ein wichtiger Unterschied. Denn plötzlich rücken andere Fragen in den Mittelpunkt.

Wie lange können wir eine kritische Leistung trotz eines Ausfalls aufrechterhalten? Welche Alternativen existieren wirklich und nicht nur auf dem Papier? Welche Ressourcen benötigen wir für die Wiederherstellung? Welche Leistungen haben im Ernstfall Priorität? Und wer trifft diese Entscheidungen, wenn Zeit, Personal und Informationen knapp werden?

Bei meiner Zahn-OP war das im Kleinen sehr einfach zu beobachten. Die Frage war nicht, wie ich verhindern kann, kurzfristig auszufallen. Zu diesem Zeitpunkt war diese Entscheidung längst gefallen. Relevant war nur noch, ob das Unternehmen auch ohne mich für einige Tage funktioniert. In diesem Fall hat es funktioniert.

Nicht aufgrund eines ausgefeilten Notfallhandbuchs, sondern weil Verantwortung geteilt werden kann, Informationen verfügbar sind und jemand anderes Entscheidungen übernehmen kann. Das ist für mich ebenfalls Business Continuity.

Vielleicht sogar in einer ihrer unspektakulärsten Formen.

Wiederherstellung ist mehr als Technik

Beim Waldbrandeinsatz wenige Tage später war die Dimension eine völlig andere. Dort wird sehr schnell sichtbar, dass selbst mit guter Vorbereitung nicht jede Entwicklung verhindert werden kann.

Feuerwehren versuchen selbstverständlich, eine Ausbreitung zu stoppen. Gleichzeitig werden Kräfte nachgeführt, Versorgung organisiert, Einsatzabschnitte gebildet und Reserven bereitgehalten. Es geht nicht nur darum, das Ereignis zu bekämpfen, sondern auch darum, über einen längeren Zeitraum einsatzfähig zu bleiben.

Genau dieser Gedanke fehlt mir manchmal in Unternehmen.

Wir investieren viel in Schutzmaßnahmen und vergleichsweise wenig Aufmerksamkeit in die Frage, wie eine Organisation nach einem tatsächlichen Treffer weiterarbeitet. Dabei entscheidet sich Resilienz häufig genau dort.

Die Entwicklungen der vergangenen Woche liefern dafür mehrere Beispiele.

Die niedrigen Pegelstände von Rhein und Donau sind kein plötzlicher Katastrophenmoment. Ein Schiff verschwindet nicht von einer Minute auf die andere. Zunächst sinkt die mögliche Beladung. Transporte werden teurer. Kapazitäten werden knapp. Fracht muss auf Straße oder Schiene verlagert werden. Irgendwann fehlen Rohstoffe oder Kühlwasser, Produktionsprozesse werden eingeschränkt und Energieerzeugung wird schwieriger. Der Betrieb funktioniert noch. Nur schlechter.

Gerade solche Lagen finde ich für Organisationen besonders anspruchsvoll. Denn es gibt keinen eindeutigen Moment, an dem jemand sagen kann: Jetzt ist die Krise da. Stattdessen schrumpft die Handlungsfähigkeit schrittweise.

Auch wirtschaftliche Routinen bekommen plötzlich eine andere Bedeutung

Ein zweites Beispiel aus Österreich hat mich diese Woche beschäftigt.

Behörden haben ein internationales Beschaffungsnetzwerk aufgedeckt, über das Maschinen und Spezialwerkzeuge über mehrere Drittstaaten an Unternehmen der russischen Rüstungsindustrie gelangt sein sollen.

Für mich ist daran weniger der konkrete Ermittlungsfall interessant als die dahinterliegende Entwicklung. Sanktionen werden in Unternehmen häufig als Compliance-Thema behandelt. Zuständigkeiten, Prüfprozesse, Dokumentation.

Der Fall zeigt jedoch, wie schnell daraus eine ganz andere Lage entstehen kann. Plötzlich geht es nicht mehr nur um die Frage, ob eine Vorschrift korrekt eingehalten wurde. Es geht um Ermittlungen, Geschäftsbeziehungen, Banken, Versicherungen, Medien, Reputation und möglicherweise um die Verantwortung der Unternehmensführung.

Auch hier verbinden sich Themen, die organisatorisch häufig getrennt behandelt werden. Und wieder entsteht die eigentliche Herausforderung an den Schnittstellen.

Wir werden nicht alles verhindern können

Vielleicht ist genau das die unbequemste Erkenntnis dieser Woche.

Drohnen können Schutzperimeter überwinden. Lieferketten können verschleiert werden. Flüsse können historische Tiefstände erreichen. Technische Systeme können ausfallen. Menschen können kurzfristig nicht verfügbar sein.

Die entscheidende Frage für Führung lautet deshalb aus meiner Sicht nicht nur:

Was können wir verhindern?

Mindestens genauso wichtig ist:

Was passiert mit unserer Organisation, wenn uns das nicht gelingt?

Diese Frage verändert den Blick auf viele Dinge.

Redundanz erscheint plötzlich nicht mehr nur als zusätzlicher Kostenfaktor. Stellvertretungen werden nicht mehr als organisatorische Formalität betrachtet. Ersatzteile, alternative Lieferanten oder zusätzliche Kapazitäten bekommen einen anderen Wert. Und Wiederherstellungszeiten werden zu einer Führungskennzahl.

Denn Resilienz bedeutet für mich nicht, unverwundbar zu sein. Eine resiliente Organisation darf getroffen werden. Sie darf nur nicht ihre Fähigkeit verlieren, Entscheidungen zu treffen, Leistungen aufrechtzuerhalten und wieder in einen stabilen Zustand zurückzukehren.

Meine vergangene Woche hat mir das auf zwei sehr unterschiedlichen Ebenen wieder deutlich gemacht.

Manchmal braucht es dafür ein vorbereitetes Backup im Unternehmen. Manchmal zusätzliche Einsatzkräfte bei einem Waldbrand. Und manchmal tausende redundante Komponenten in einer kritischen Infrastruktur.

Das Prinzip dahinter bleibt erstaunlich ähnlich.

Wie viel Aufmerksamkeit investiert Ihre Organisation heute in Schutz und wie viel in die Frage, was am Tag danach passiert?

Führung zeigt sich nicht in ruhigen Zeiten, Führung zeigt sich dann, wenn ein Sturm aufzieht.

#Krisenmanagement #BusinessContinuityManagement #Resilienz #Krisenplaner